Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Gli esperti di Qualys hanno scoperto una vulnerabilità vecchia di nove anni nel file system XFS, identificata come CVE-2026-64600 e denominata RefluXFS. Questa falla consente a un utente locale non privilegiato di ottenere i diritti di root sovrascrivendo file protetti. La vulnerabilità è presente in tutte le versioni stabili del kernel Linux dal 2017, interessando oltre 16,4 milioni di sistemi tra cui Red Hat Enterprise Linux e CentOS Stream.
Gli esperti di Qualys hanno scoperto una vulnerabilità vecchia di nove anni nel file system XFS. Il bug, che ha ricevuto l’identificatore CVE-2026-64600 e il nome RefluXFS, consente a un utente locale non privilegiato di sovrascrivere i file protetti e ottenere i diritti di root.
Secondo gli esperti, il bug è apparso in Linux 4.11, rilasciato nel 2017, e da allora è presente in tutte le versioni stabili del kernel. La vulnerabilità colpisce i sistemi con XFS e reflink abilitati, a condizione che il file protetto e la directory accessibile all’aggressore si trovino sullo stesso file system.
Questa configurazione predefinita si trova in Red Hat Enterprise Linux, CentOS Stream, Oracle Linux, Rocky Linux, AlmaLinux, CloudLinux, Fedora Server e Amazon Linux. In totale, secondo i ricercatori, il problema potrebbe interessare più di 16,4 milioni di sistemi.
Separatamente, si nota che RefluXFS non è pericoloso per i sistemi RHEL 7, poiché sono stati creati prima che fosse disponibile il supporto reflink XFS. Inoltre, Debian, Ubuntu, SLES e openSUSE generalmente non utilizzano XFS come filesystem root per impostazione predefinita.
Per sfruttare il problema, un utente malintenzionato deve creare un clone reflink di un file protetto e quindi avviare diverse operazioni di scrittura diretta parallela tramite O_DIRECT.
Nella clonazione reflink, l’originale e la copia fanno prima riferimento alle stesse aree del disco. Quando un utente malintenzionato tenta di modificare la copia, XFS deve allocarle una posizione separata. Tuttavia, a causa delle richieste simultanee, si verifica una condizione di competizione e una delle richieste utilizza informazioni obsolete, sovrascrivendo una parte del disco che già appartiene al file protetto originale. Di conseguenza, il contenuto del file protetto cambia, sebbene l’aggressore stia lavorando con la propria copia.
In questo caso, i metadati del file protetto non cambiano: il proprietario, i diritti di accesso, i timestamp e il bit SUID vengono conservati. Cambia solo il suo contenuto. Le modifiche vengono scritte direttamente sul disco, sopravvivono ai riavvii e non lasciano traccia nel registro del kernel. I ricercatori notano che nell’ambiente di prova, di solito riuscivano a vincere la gara in meno di dieci secondi.
Secondo gli esperti, i meccanismi di difesa standard non impediscono un simile attacco. SELinux, seccomp, blocco del kernel, isolamento del contenitore, KASLR, SMEP e SMAP non servono, poiché il problema è legato a XFS e all’elaborazione delle copie reflink. Durante un attacco, la scrittura bypassa l’inode del file protetto e il suo contenuto viene modificato direttamente sul disco, senza sfruttare errori di memoria.
I ricercatori notano di aver scoperto la vulnerabilità come parte di una collaborazione con Anthropic – Gli specialisti di Qualys partecipano al programma Project Glasswing e hanno accesso al modello AI chiuso Claude Mythos Preview. Pertanto, l’intelligenza artificiale è stata incaricata di trovare vulnerabilità nel kernel Linux simili a Dirty COW, associate al verificarsi di una condizione di competizione.
Di conseguenza, il modello ha scoperto un problema in XFS e ha preparato un exploit PoC funzionante. Successivamente, gli specialisti hanno verificato il ragionamento del modello, confermato i dettagli tecnici della vulnerabilità e quindi hanno riprodotto con successo l’attacco.
La correzione è stata rilasciata nel codice sorgente del kernel il 16 luglio 2026 e i produttori di distribuzioni hanno già iniziato a rilasciare le patch. Si consiglia agli amministratori di aggiornare il kernel il prima possibile, soprattutto su sistemi pubblici e multiutente.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/